IPV6 manuelle Adressvergabe im LAN

[Stevu]

Hallo zusammen,

kurz und knapp:

Welche IPV6 Adressen kann ich im LAN manuell vergeben?
fe80:: ?
Wie groß? /10 ?

Ich habe hier einen keinen Server stehen, der im LAN über eine kurze! und statische! IPV6 Adresse erreichbar sein soll.
Mir würde sowas für lokale Geräte wie fe80::1 bis fe80::100 reichen, wenn das "erlaubt" ist.
Oder muss ich sowas wie fec0::/10 (veraltet?) nutzen?
Dann gibt es auch noch fc00::/7 und fd00::/7.

Da muss man erstmal durchblicken, vorab vielen Dank!

 

[leipziger1979]

Was versprichst du dir davon ?

 

[Stevu]

Auf dem Server läuft PiHole, den Server will ich in der FritzBox als DNS-Server (IPV4 und IPV6) eintragen.
Deshalb brauche ich eine statische IPV6-Adresse.

 

[error]

Moin,

wenn du dich nicht mit Ipv6 beschäftigt hast und im LAN einen Server erreichen willst, dann lass es sein.

Im LAN brauchst du kein Ipv6.

Gruß

Ergänzung (28. Dezember 2017)

Dein Pihole wird dann aus dem Internet erreichbar sein. Aktuell gibt es keinen Grund Ipv6 im LAN anzuwenden.

 

[Stevu]

Um IPV6 komme ich nicht herum, Stichwort DS-Lite

Ergänzung (28. Dezember 2017)

Dein Pihole wird dann aus dem Internet erreichbar sein.

Sry, aber das stimmt nicht!

 

[leipziger1979]

fe80:: Adressen sind LinkLokal und für Auto-Konfiguration vorgesehen und mit 169.254er IPv4 zu vergleichen.

fec0::/10 ist wie du schon geschrieben hast veraltet.

fc00::/7 ist der Nachfolger und sollte verwendet werden.
Dort aber nur fd00:: bis fdff::

 

[KillerCow]

Stichwort: Unique Local Unicast
Das ist aktuell bei IPv6 in etwa das, was bei IPv4 die privaten Adressbereiche sind.

 

[Stevu]

Also nehme ich fd00::/7
fd00::1 bis fd00::100 liegt da ja locker drin.

 

[error]

Um es kurz zu machen:

fe80:: Link local; generell das selbe wie die Autoconfig (APIPA; 169.254.X.X) bei IPv6
fc00:: /7 : Etwas das äqivaltent zu den Privaten IPv4-Adressen

Und dann gibt es noch die globalen IPv6-Adressen.

Ausgehend von deiner Beschreibung, muss entsprechend auch im Router IPv6 richtig eingerichtet sein sonst macht dein Setup keinen Sinn. Und wenn das richtig eingerichtet ist, dann ist dein PI eben auch über eine globale IPv6 aus dem Internet erreichbar. In IPv6 gibt es kein NAT.
Und in wie weit Firewalls für IPv6 existieren, nuja, im Enterpriseumfeld gibt es da nicht allzuviel.

PS:
DS-Lite hat nicht unbedingt etwas mit DNS zu tun. Du kannst IPv6 auch abschalten und würdest trotzdem (genattet) ins Internet kommen...

 

[Asghan]

Ergänzung (28. Dezember 2017)

Dein Pihole wird dann aus dem Internet erreichbar sein.

Wo hast du den Quark denn her?

 

[Stevu]

was mich jetzt ein wenig verwundert, ist folgendes:
inet6 fd00::1 prefixlen 7 scopeid 0x0<global>

die vorhandene fe80 Adresse sieht so aus:
inet6 fe80::*** prefixlen 64 scopeid 0x20<link>

Warum ist die fd00 angeblich global?


Soweit ich weiß, blockt die FritzBox auch bei IPV6 standardmäßig alles von außen.
Auch wenn alle Geräte hinter der FritzBox lokale und globale Adressen bekommen.

Die Freigabe habe ich vor einiger Zeit mit einem kleinen Webserver getestet, der temporär öffentlich war. Erst nach der Freigabe in der Fritzbox war die globale Adresse erreichbar.

 

[Helge01]

Wo hast du den Quark denn her?

Na wenn der Router IPv6 kann, dann bekommt das Gerät auch automatisch eine globale IPv6 Adresse zugewiesen. Somit steht es im Internet, wenn keine Firewall das verhindert.

Passiert natürlich nur, wenn Router Advertisements aktiv ist und die ULA IPv6 Adresse nicht manuell vergeben wird.

 

[Asghan]

Na wenn der Router IPv6 kann, dann bekommt das Gerät auch automatisch eine globale IPv6 Adresse zugewiesen. Somit steht es im Internet, wenn keine Firewall das verhindert.

Passiert natürlich nur, wenn Router Advertisements aktiv ist und die IPv6 Adresse nicht manuell vergeben wird.

Mir ist bisher kein Modell untergekommen wo die Advetisements per default aktiv sind. Oder kennt jemand ein Modell?

 

[error]

was mich jetzt ein wenig verwundert, ist folgendes:
inet6 fd00::1 prefixlen 7 scopeid 0x0<global>

die vorhandene fe80 Adresse sieht so aus:
inet6 fe80::*** prefixlen 64 scopeid 0x20<link>

Warum ist die fd00 angeblich global?

Der Bereich fc00::/7 ist in zwei /8 Bereiche aufgeteilt. fc00::/8 ist noch nicht genauer definiert und fd00::/8 ist für die Unique Local Adresses definiert. Diese sind "global" (aus dem Lan) erreichbar.

Die fe80:: ist nur Link-lokal. Deswegen hat sie das Attribut Link.

Soweit ich weiß, blockt die FritzBox auch bei IPV6 standardmäßig alles von außen.
Auch wenn alle Geräte hinter der FritzBox lokale und globale Adressen bekommen.

Die Freigabe habe ich vor einiger Zeit mit einem kleinen Webserver getest, der temporär öffentlich war. Erst nach der Freigabe in der Fritzbox war die globale Adresse erreichbar.

Kann gut sein, dass sich inzwischen die FB weiterentwickelt hat. Ich gehe trotzdem davon aus, dass IPV6-Geräte immer aus dem Internet erreichbar sind.

Wo hast du den Quark denn her?

Aus dem Kühlregal....

Wenn IPv6 richtig eingerichtet wird, hast du 2-3 Adressscopes pro Interface. Linklocal, Unique Global (und Unique Local Unicast). In diesem Fall hat dein Server also eine Öffentlich erreichbare IP.
Da bei IPv6 die Kommunikationssteuerung über ICMP stattfindet, kann ich dann hausfinden ob etwas gefiltert wird oder erreichbar ist. Und wie gut die FB-Firewall in dem Fall ist, das kann ich nicht sagen.

 

[Helge01]

Mir ist bisher kein Modell untergekommen wo die Advetisements per default aktiv sind. Oder kennt jemand ein Modell?

Ich gehe davon aus, dass die Kabelbetreiber die DS-Lite anbieten, ihre Router so konfiguriert ausliefern.

 

[error]

Mir ist bisher kein Modell untergekommen wo die Advetisements per default aktiv sind. Oder kennt jemand ein Modell?

TP-Link macht das.

Außerdem, wie soll denn sonst IPv6 für den Laien funktionieren? Ansonsten funktioniert IPv6 nicht korrekt.

 

[Asghan]

Macht TP-Link wohl nicht immer. Bei meinem 1043 v4 ist es aus per default.
Aber gut: Einigen wir uns auf "Man sollte es prüfen, weil es kann so oder so sein".

 

[Helge01]

Ohne RA funktioniert IPv6 nicht automatisch, DHCPv6 wird erst recht nicht konfiguriert sein. Das bedeutet, dass jeder Router der IPv6 unterstützt und an einem IPv6 Anschluss hängt (z.B. DS-Lite) RA aktiviert haben muss.

Sonst würde dort kein Internet richtig funktionieren.

Damit erhalten alle Geräte auch eine globale IPv6 Adresse. Damit ist man dann auf die korrekte Funktion der Firewall angewiesen.

 

[Stevu]

also so besser nicht?